AI Act | Ce trebuie să facă firmele din România pentru angajații care folosesc inteligența artificială. Cinci pași

O actualizare importantă a acestui cadru a avut loc în anul 2026, prin implementarea Regulamentului (UE) 2026/1744

Ghid Practic pentru Companii din România: Navigarea Utilizării Inteligenței Artificiale în Contextul AI Act

Utilizarea zilnică a instrumentelor precum ChatGPT, Copilot sau Gemini de către personalul de companie pentru elaborarea corespondenței, întocmirea rapoartelor, formularea ofertelor sau analiza documentelor este o realitate în creștere. O problemă frecventă constă în faptul că această activitate se desfășoară adesea fără linii directoare scrise sau fără o formare adecvată pentru angajați.

Regulamentul european privind inteligența artificială, cunoscut sub numele de AI Act, adresează această problemă specific în cadrul articolului 4.

Deși obligațiile din acest act se aplică imediat, în contextul românesc, legislația care definește autoritățile de supraveghere și mecanismele de sancționare este încă în curs de elaborare.

Tudor Dumitrescu, un inginer software senior, indică faptul că ANCOM este propusă ca entitate responsabilă cu monitorizarea pieței.

Articolul 4 al AI Act intră în vigoare începând cu data de 2 februarie 2025.

Această aplicabilitate cuprinde atât entitățile care creează sisteme AI, cât și cele care le integrează în operațiunile lor, incluzând orice organizație a cărei forță de muncă interacționează cu ChatGPT.

O actualizare importantă a acestui cadru a avut loc în anul 2026, prin implementarea Regulamentului (UE) 2026/1744, cunoscut sub denumirea de pachetul „Digital Omnibus”. Conform acestei modificare, companiile au obligația de a implementa „măsuri care susțin” dezvoltarea competențelor AI ale personalului. Aceste măsuri trebuie adaptate în funcție de experiența, cunoștințele și rolul specific al fiecărui angajat, luând în considerare și modul în care este utilizat sistemul în mediul de lucru.

Este esențial de menționat că regulamentul nu impune un format rigid, un număr specific de ore de formare sau o certificare obligatorie pentru fiecare angajat; nu există o cerință de garantare a unui nivel uniform. Totuși, organizația trebuie să demonstreze în mod concret acțiunile întreprinse.

În cazul unui incident concret, de exemplu, expunerea de date confidențiale ale clienților într-un chatbot public, se aplică simultan și prevederile GDPR. Prin urmare, lipsa oricăror norme clare sau a instruirilor adecvate devine extrem de dificil de justificat, explică specialistul.

Sistemele AI utilizate în recrutare și gestionarea personalului sunt clasificate de AI Act ca sisteme cu risc ridicat

Riscuri Operaționale în Practică

Problemele reale apar în diverse scenarii: expunerea de informații personale și secrete comerciale în interfețe publice (liste de clienți, CV-uri, contracte, date interne); răspunsuri fabricate de AI, numite „halucinații”, care sunt transmise ulterior fără o verificare umană adecvată, incluzând cifre sau referințe legale inexiste; utilizarea tehnicilor de deepfake și inginerie socială, prin care mesaje sau apeluri imită tonul sau vocea unui manager pentru a solicita plăți urgente; și, în mod sensibil, utilizarea AI în procese decizionale legate de resurse umane, cum ar fi selecția candidaților sau evaluarea performanței.

Sistemele AI utilizate în recrutare și gestionarea personalului sunt clasificate de AI Act ca sisteme cu risc ridicat, ceea ce implică obligații suplimentare care devin obligatorii începând cu 2 decembrie 2027.

Cinci Strategii Esențiale pentru Companiile Utilizatoare de AI

Pentru a se conforma eficient, companiile din România ar trebui să urmeze cinci etape practice:

1. Inventarierea: Trebuie identificat exact ce instrumente AI folosesc angajații, în ce departamente și pentru ce sarcini specifice, acoperind inclusiv conturile personale utilizate în scop profesional. 2.

Politica de Utilizare: Elaborarea unei directive concise care să specifice care sunt uneltele aprobate, ce tipuri de date nu trebuie introduse niciodată în prompt-uri, când este imperativă validarea umană și cine preia responsabilitatea finală pentru rezultatul obținut. 3.

Formare Personalizată: Instruirea trebuie să fie specifică rolurilor; un specialist din HR, unul din vânzări și unul din finanțe se confruntă cu riscuri diferite, deci formarea trebuie să se bazeze pe situațiile reale ale fiecăruia, nu pe teorii abstracte. 4.

Documentație Riguroasă: Se necesită înregistrarea detaliată a fiecărei sesiuni de instruire: cine a participat, când, pe ce subiecte și care a fost rezultatul evaluării. Aceasta constituie dovezile necesare pentru audit. 5.

Monitorizare și Ajustare: Stabilirea unui mecanism simplu prin care angajații pot raporta incidente și asigurarea unei actualizări periodice a instruirilor ori de câte ori apar noi reguli sau noi instrumente AI.

Tudor Dumitrescu, fondatorul Academia Programatorilor și inginer software senior, subliniază că majoritatea problemelor întâmpinate la birou nu sunt de natură tehnică, ci rezultă din erori umane, cum ar fi plasarea datelor clienților în chat-uri publice, transmiterea de răspunsuri inventate fără verificare sau creditul unor mesaje false. Pentru majoritatea organizațiilor, aplicarea articolului 4 nu înseamnă o povară birocratică excesivă, ci implementarea unor reguli clare și asigurarea că personalul înțelege motivul existenței acestor norme.